Article 33

1. Le titulaire d’un certificat EUCC établit et tient à jour toutes les procédures de gestion des vulnérabilités nécessaires conformément aux règles énoncées dans la présente section et, le cas échéant, complétées par les procédures définies dans la norme EN ISO/IEC 30111.

2. Le titulaire d’un certificat EUCC tient à jour et publie des méthodes appropriées pour recevoir des informations sur les vulnérabilités liées à ses produits de la part de sources externes, y compris les utilisateurs, les organismes de certification et les chercheurs dans le domaine de la sécurité.

3. Lorsque le titulaire d’un certificat EUCC détecte ou reçoit des informations sur une vulnérabilité potentielle touchant un produit TIC certifié, il l’enregistre et procède à une analyse d’impact de la vulnérabilité.

4. Lorsqu’une vulnérabilité potentielle a une incidence sur un produit composite, le titulaire du certificat EUCC informe de cette vulnérabilité potentielle le titulaire de certificats EUCC dépendants.

5. En réponse à une demande raisonnable de l’organisme de certification qui a délivré le certificat, le titulaire d’un certificat EUCC transmet toutes les informations pertinentes concernant les vulnérabilités potentielles à cet organisme de certification.